変更要約: SC-100 第5章を新規作成（ドメイン4「アプリとデータのセキュリティ設計」: M365 保護(Microsoft Secure Score/Defender for Office 365/Defender for Cloud Apps(CASB)/Intune/Purview ラベル/DLP)、Copilot for Microsoft 365(権限/ラベル継承/過剰共有/DSPM for AI/Purview Audit)、アプリ保護(脅威モデリング/セキュア開発ライフサイクル/workload identity/API Management/Azure WAF)、データ保護(discovery/分類/保存時・転送時暗号化/CMK/Key Vault/Defender for Storage/Defender for Databases/Azure SQL/Synapse/Cosmos DB/Storage)）。
5.1Microsoft 365 の保護
Microsoft Secure Score による生産性/コラボワークロードの posture 評価、Microsoft Defender for Office 365・Microsoft Defender for Cloud Apps、Microsoft Intune によるデバイス管理、Microsoft Purview による M365 データ保護の設計を理解します。
多くの組織で最も価値の高いデータとユーザー活動は Microsoft 365（メール・Teams・SharePoint・OneDrive）にあります。アーキテクトは生産性ワークロードの posture を測り、メール/SaaS の脅威とデバイスとデータを多層で守ります。
5.1.1Microsoft Secure Score と脅威防御
生産性/コラボの posture は Microsoft Secure Score（Defender XDR の ID/M365 posture スコア）で測り、改善アクションを優先順位付けします。メール/コラボの脅威（フィッシング・マルウェア・なりすまし）は Microsoft Defender for Office 365（Safe Links/Safe Attachments・自動調査）が防御し、SaaS アプリの可視化と制御（シャドー IT 発見・セッション制御・データ制御）は Microsoft Defender for Cloud Apps（CASB）が担います。アーキテクトは「M365 全体の posture と脅威防御をどう積むか」を設計します。
5.1.2Intune によるデバイス管理と Purview によるデータ保護
M365 データにアクセスするデバイスは Microsoft Intune で管理し、準拠ポリシー（暗号化・パッチ・PIN 等）を満たさない端末を Conditional Access でブロックします（モバイルは アプリ保護ポリシー で BYOD のアプリ単位の保護も可能）。M365 内のデータ自体は Microsoft Purview の 情報保護（秘密度ラベル） と DLP で分類/暗号化/持ち出し制御します。アーキテクトは「準拠端末からのみアクセス（Intune＋CA）」と「データに追従する保護（Purview ラベル/DLP）」を組み合わせ、デバイスとデータの両面を固めます。